Vertrauen
Anonymität ist keine Einstellung. Sie ist die Architektur.
Ein Angebot für mentale Gesundheit trägt nur, wenn Mitarbeitende sicher sein können, dass ihr Arbeitgeber nichts über sie erfährt. Bei frucht-arbeitsplatz ist das nicht „berechtigungsgesteuert“ — die Schnittstellen, die Einzeldaten preisgeben könnten, existieren schlicht nicht.
Was k-Anonymität ≥ 5 bedeutet
k-Anonymität bedeutet: Eine Kennzahl wird erst dann berechnet, wenn mindestens 5 Personen in der Auswertungsgruppe sind. Kleinere Gruppen werden gar nicht erst gebildet.
3 Personen — zu klein: es wird gar keine Kennzahl materialisiert, nichts kann später „durchsickern“.
7 Personen — die Kohorte erreicht den Schwellenwert, es entsteht eine anonyme Kennzahl.
Ein nächtlicher Prozess bildet Kennzahlen ausschließlich für Gruppen ab dem Schwellenwert (Standard: 5, organisationsweit nur nach oben anpassbar, nie darunter). Unterschwellige Zellen werden gar nicht erst gespeichert — was nicht existiert, kann auch durch keinen späteren Fehler nach außen gelangen.
Was HR niemals sieht
- Einzelne Check-in-Antworten oder Gesprächsverläufe
- Das individuelle Belastungsprofil einer Person
- Wer teilnimmt und wer nicht (Teilnahmestatus)
- WHO-5-Werte oder Stresssignale einzelner Personen
- Krisensignale (Safety-Events) — auf keiner Ebene, niemals
Was HR sieht
- K-anonyme Kennzahlen ab 5 Personen (z. B. durchschnittliches Belastungsempfinden im Zeitverlauf)
- Aggregierte Adoption als gerundeter Prozentwert — ebenfalls k-gesichert
- Auswertungen auf Organisations- und, bei ausreichender Größe, Team-Ebene
Wie die Trennung technisch aussieht
Pseudonyme Zone
Wohlbefindensdaten hängen an einer pseudonymen Kennung, nie an Name oder E-Mail. Die Verbindung zur Identität wird nur für die betroffene Person selbst aufgelöst.
Aggregat-Zone
Nur k-anonyme Rollups landen in der einzigen Datenquelle, die HR abfragen kann. Kein Join zurück zu persönlichen Daten ist möglich.
EU-Hosting & KI
Verarbeitung in Deutschland/EU. KI-Aufrufe laufen ausschließlich über EU-gehostete Modelle; personen- bezogene Angaben werden vor jedem Aufruf maskiert.
Betriebsrat-Infoblatt
Für die Mitbestimmung nach BetrVG § 87 Abs. 1 Nr. 6: Warum frucht-arbeitsplatz kein Leistungs- oder Verhaltensmonitoring ist. Diese Seite ist druckoptimiert — als PDF speichern und der Sitzung beilegen.
1. Zweck
Freiwilliges Angebot zur Prävention und Förderung der mentalen Gesundheit. Keine Diagnose, keine Therapie, kein Ersatz für die Gefährdungsbeurteilung psychischer Belastung.
2. Freiwilligkeit & Einwilligung
Die Teilnahme ist freiwillig und beruht auf der ausdrücklichen, granularen und jederzeit widerrufbaren Einwilligung der Mitarbeitenden (Art. 9 Abs. 2 lit. a DSGVO). Der Arbeitgeber kauft Plätze, sieht aber nicht, wer teilnimmt.
3. Keine Leistungs-/Verhaltenskontrolle
Dem Arbeitgeber werden ausschließlich k-anonyme Kennzahlen ab 5 Personen bereitgestellt. Es gibt keine Schnittstelle, die individuelle Daten an eine Arbeitgeber-Rolle ausgibt. Ein Rückschluss auf einzelne Personen ist ausgeschlossen.
4. Datenschutz & Verträge
Auftragsverarbeitung nach Art. 28 DSGVO (AVV), Verarbeitung in Deutschland/EU, verschlüsselte Speicherung und Backups, dokumentierte Löschfristen. Eine Datenschutz-Folgenabschätzung wird geführt.
5. Krisenschutz
Akute Krisensignale werden dem Arbeitgeber auf keiner Ebene angezeigt. Bei akuten Signalen wird auf professionelle Hilfe verwiesen (u. a. Telefonseelsorge 0800 111 0 111, ärztlicher Bereitschaftsdienst 116 117, im Notfall 112).
Dies ist eine engineering-nahe Zusammenfassung, keine Rechtsberatung. Die verbindlichen Dokumente (AVV, DSFA) stellen wir im Vertragsprozess bereit.